Informativa Registrazione Chiamate KiwiCall e Termini Operativi

Il presente documento si compone di due sezioni:

• Sezione A — Informativa per il chiamato (testo da rendere all'inizio della chiamata in forma sintetica, integrato da una versione estesa accessibile via URL pubblico, SMS o email post-chiamata);
• Sezione B — Termini operativi per il Cliente Kiwi che attiva il Servizio KiwiCall (regole d'uso, retention, conformità Garante).

In appendice sono riportati tre testi TTS pronti all'uso (marketing, customer care, recupero crediti).

SEZIONE A — Informativa per il chiamato (Interessato finale)

A.1 Disclosure breve in chiamata (TTS automatico)

All'inizio di ogni chiamata KiwiCall, prima dell'avvio della conversazione operativa, il sistema riproduce automaticamente, mediante sintesi vocale, una formula equivalente alla seguente:

«La presente chiamata è effettuata da un assistente vocale automatico per conto di [NOME CLIENTE TITOLARE] e può essere registrata per le finalità indicate nell'informativa estesa, consultabile al link [URL INFORMATIVA]. Per parlare con un operatore umano è sufficiente dire "operatore". Resti in linea per proseguire.»

La formula è personalizzabile dal Cliente nel rispetto dei requisiti di cui alla Sezione B, paragrafo B.3.

A.2 Informativa estesa (URL pubblico)

A.2.1 Titolare del trattamento

Titolare del trattamento dei dati personali raccolti tramite la chiamata è il Cliente Kiwi che ha attivato il servizio KiwiCall, di seguito denominato "Titolare", i cui estremi identificativi (ragione sociale, sede, P.IVA, contatto privacy/DPO) sono pubblicati nell'informativa estesa accessibile al link reso noto in chiamata.

A.2.2 Responsabile del trattamento

Kiwi Network S.r.l. (Via Repubblica 56, 13900 Biella (BI), Italia, P.IVA 02851510020, PEC kiwinetwork@pec.it) opera come Responsabile del trattamento ex art. 28 GDPR sulla base del Data Processing Agreement sottoscritto con il Titolare (cfr. 04-dpa.md).

A.2.3 Categorie di dati trattati

• Dati identificativi (numero telefonico, eventuale nome/cognome se forniti);
• Contenuto della conversazione (audio della chiamata e relativa trascrizione testuale automatica);
• Metadati (data, ora, durata, esito, identificativo chiamata, eventuale registrazione del consenso, codice IVR/intent rilevato);
• Eventuali dati ulteriori che il chiamato comunichi spontaneamente nel corso della conversazione (es. indirizzo email, preferenze, dati di contatto).

A.2.4 Finalità e basi giuridiche

A.2.5 Periodi di conservazione

• Registrazione audio e trascrizione: di norma 90 giorni, configurabili dal Titolare fino a un massimo di 6 mesi salvo finalità giustificative documentate (es. contenzioso in corso, contestazioni in itinere, obblighi di tracciabilità settoriale);
• Metadati di chiamata: massimo 24 mesi per finalità statistiche e di sicurezza, in forma aggregata oltre tale termine;
• Dati relativi al consenso al trattamento: per tutta la durata del trattamento basato sul consenso e per i 10 anni successivi ai fini probatori;
• Documentazione contabile: 10 anni ex art. 2220 c.c.

Periodi superiori sono ammessi solo previa Valutazione di Impatto sulla Protezione dei Dati (DPIA) documentata e su finalità specifica e proporzionata.

A.2.6 Destinatari

I dati possono essere comunicati a:

• personale autorizzato del Titolare, formato e istruito ex art. 29 GDPR;
• Kiwi Network S.r.l. quale Responsabile del trattamento;
• subprocessor di Kiwi (in particolare provider di telefonia VoIP, di sintesi vocale, di hosting, di osservabilità) elencati in 17-subprocessor.md;
• Autorità competenti su richiesta motivata.

I dati non sono diffusi.

A.2.7 Trasferimenti extra-UE

I trattamenti sono prevalentemente svolti all'interno dello Spazio Economico Europeo. Eventuali trasferimenti verso Paesi terzi avvengono sulla base di Decisioni di Adeguatezza della Commissione Europea o, in mancanza, di Clausole Contrattuali Standard ex art. 46 GDPR e misure supplementari adeguate. Il dettaglio è riportato in 17-subprocessor.md.

A.2.8 Diritti dell'interessato

L'interessato può esercitare in ogni momento, scrivendo ai contatti del Titolare indicati nell'informativa estesa, i diritti di:

• accesso (art. 15 GDPR), inclusa la richiesta di copia della registrazione e della trascrizione, evasa entro 30 giorni;
• rettifica (art. 16 GDPR);
• cancellazione (art. 17 GDPR);
• limitazione del trattamento (art. 18 GDPR);
• portabilità dei dati (art. 20 GDPR);
• opposizione, anche con riferimento al marketing diretto (art. 21 GDPR);
• revoca del consenso, senza pregiudizio della liceità dei trattamenti effettuati prima della revoca;
• non essere sottoposto a decisioni automatizzate (art. 22 GDPR), con possibilità di richiedere intervento umano in chiamata pronunciando "operatore" o equivalenti.

L'interessato ha altresì diritto di proporre reclamo al Garante per la Protezione dei Dati Personali (Piazza Venezia 11, 00187 Roma — www.garanteprivacy.it).

A.2.9 Natura del conferimento

Il conferimento dei dati strettamente necessari alla gestione della chiamata è facoltativo, ma il rifiuto può comportare l'impossibilità di proseguire la conversazione automatizzata. Il rifiuto del trattamento per finalità di marketing non pregiudica la possibilità di accedere ai servizi del Titolare.

SEZIONE B — Termini operativi per il Cliente Kiwi

B.1 Ruoli e responsabilità

B.1.1 Il Cliente è Titolare del trattamento dei dati raccolti tramite KiwiCall ed è il soggetto che intrattiene la relazione contrattuale o precontrattuale con l'Interessato finale.

B.1.2 Kiwi Network S.r.l. è Responsabile del trattamento ex art. 28 GDPR, sulla base del Data Processing Agreement 04-dpa.md.

B.1.3 Eventuali subprocessor di Kiwi (es. provider VoIP, sintesi vocale, trascrizione, hosting, osservabilità) sono nominati Sub-Responsabili nel rispetto degli obblighi di cui all'art. 28, par. 2 GDPR e del paragrafo 10 del DPA.

B.2 Conformità al Provvedimento Garante 24 gennaio 2013 e successivi

B.2.1 Il Servizio KiwiCall è progettato per consentire al Titolare il rispetto delle "Linee guida in materia di trattamento di dati personali per finalità di marketing diretto" del Garante (24 gennaio 2013) e dei provvedimenti successivi in materia di call center, con particolare riferimento a:

a) Informazione preventiva: il Servizio riproduce, in modo automatico e per impostazione predefinita, una formula TTS conforme alla Sezione A.1 prima dell'avvio della conversazione operativa;

b) Conservazione limitata: la registrazione e la trascrizione sono conservate per il periodo configurato dal Titolare, entro i limiti del paragrafo B.4;

c) Accesso limitato alle registrazioni: l'accesso è riservato al personale autorizzato del Titolare e al personale tecnico di Kiwi su base "need to know"; tutti gli accessi sono tracciati in audit log immodificabili;

d) Cancellazione automatica al termine del periodo di retention, con possibilità di proroga per finalità giustificative documentate;

e) Misure di sicurezza ex art. 32 GDPR: cifratura at-rest e in-transit (TLS 1.2+), controlli di accesso basati sui ruoli, segregazione dei tenant, MFA per gli amministratori.

B.3 Personalizzazione della disclosure TTS

B.3.1 Il Cliente può personalizzare il testo della disclosure TTS di apertura purché:

a) sia chiaramente indicata la natura artificiale (sistema IA) dell'interlocutore, in conformità all'art. 50 AI Act; b) sia indicato il nome del Titolare per conto del quale viene effettuata la chiamata; c) sia menzionata la possibilità di registrazione della chiamata e il rinvio all'informativa estesa con relativo URL/canale di contatto; d) sia segnalata la possibilità di richiedere intervento umano (es. parola chiave "operatore"); e) la durata complessiva della disclosure non superi 12 secondi e sia in lingua chiara, comprensibile alla popolazione di riferimento.

B.3.2 Kiwi si riserva di rifiutare l'attivazione di disclosure non conformi al paragrafo B.3.1.

B.4 Retention delle registrazioni e delle trascrizioni

B.4.1 Retention di default: 90 giorni dalla data della chiamata.

B.4.2 Retention configurabile dal Cliente: fino a un massimo di 6 mesi, scegliendo tra le opzioni preimpostate dal pannello.

B.4.3 Retention superiore a 6 mesi: ammessa esclusivamente previa DPIA documentata sottoposta a Kiwi e finalità specifica e proporzionata (es. contenzioso in atto, obblighi settoriali). Kiwi mette a disposizione un template di DPIA ai sensi dell'art. 35 GDPR.

B.4.4 Trascrizione testuale: associata alla registrazione, segue il medesimo ciclo di vita.

B.4.5 Conservazione di registrazioni oltre i 6 mesi senza DPIA configura inadempimento contrattuale e legittima Kiwi a procedere alla cancellazione automatica al raggiungimento del limite massimo, dandone preavviso al Cliente.

B.5 Diritti degli interessati e procedure di evasione

B.5.1 Le richieste degli interessati indirizzate al Cliente vanno evase entro i tempi di legge (di norma 30 giorni, prorogabili di 60 giorni).

B.5.2 Kiwi mette a disposizione del Cliente, entro 7 giorni lavorativi dalla richiesta, copia delle registrazioni e delle trascrizioni a partire dall'identificativo chiamata o dal numero telefonico, salvo che ciò richieda elaborazioni straordinarie, nel qual caso Kiwi e Cliente concordano tempi e costi.

B.5.3 In caso di richiesta di cancellazione, il Cliente avvia la procedura dal pannello; la cancellazione è propagata ai backup secondo i tempi di rotazione descritti nel DPA.

B.6 Sicurezza

B.6.1 Le registrazioni sono cifrate at-rest con AES-256 o equivalente, e in-transit con TLS 1.2+.

B.6.2 L'accesso alle registrazioni è subordinato a:

• autenticazione multi-fattore per gli amministratori Kiwi;
• audit log immodificabile per ogni accesso/lettura/download;
• principi di minimizzazione e di "least privilege" interni a Kiwi.

B.6.3 Il Cliente è tenuto a impostare credenziali sicure per il proprio team e a revocare prontamente gli accessi del personale uscente.

B.7 DPIA

B.7.1 Il Garante raccomanda la conduzione di una DPIA per i trattamenti di marketing telefonico massivo o per chiamate AI con conservazione prolungata. Kiwi fornisce un template di DPIA e dichiara, in qualità di Responsabile, le informazioni necessarie a istruire l'analisi (in particolare le caratteristiche tecniche del Servizio, i subprocessor, le misure di sicurezza).

B.7.2 La DPIA resta competenza e responsabilità del Titolare, che la conserva e la aggiorna periodicamente.

B.8 Conformità ulteriore (telemarketing)

B.8.1 Per le chiamate di marketing diretto a numerazioni presenti in elenchi pubblici, il Cliente è tenuto al rispetto del Registro Pubblico delle Opposizioni (RPO) ex L. 5/2018 e DPR 178/2010, mediante consultazione preventiva e periodica del registro e scrubbing delle liste.

B.8.2 Il Cliente è tenuto al rispetto degli orari consentiti per il telemarketing e delle ulteriori disposizioni di settore (Codice di Condotta delle imprese di teleselling ove applicabile).

B.8.3 Il consenso al marketing telefonico raccolto in chiamata deve essere documentato e archiviato; Kiwi mette a disposizione strumenti di registrazione del consenso (registrazione vocale dell'opt-in).

B.8.4 Per il dettaglio delle ulteriori condizioni applicabili al solo Servizio KiwiCall si rimanda a 09-condizioni-particolari-kiwicall.md.

B.9 Casi speciali — minori

B.9.1 È vietato l'utilizzo di KiwiCall per chiamate di marketing rivolte a minori di 18 anni o, comunque, a numerazioni note come riferibili a minori.

B.9.2 In caso di chiamata che identifichi un minore (es. l'utente dichiara di essere minorenne), il Sistema IA è configurato per concludere la conversazione informando l'utente che il servizio non è destinato a minori.

B.10 Penalità in caso di violazione

B.10.1 In caso di accertata violazione, da parte del Cliente, degli obblighi del presente documento o del Provvedimento Garante 24 gennaio 2013 (es. mancata configurazione della disclosure obbligatoria, conservazione oltre i limiti senza DPIA, marketing senza consenso o in violazione del RPO), Kiwi si riserva di:

a) sospendere il Servizio KiwiCall in via cautelare, anche senza preavviso, dandone immediata comunicazione; b) richiedere al Cliente le evidenze necessarie a ripristinare la conformità entro un termine non superiore a 15 giorni; c) risolvere il contratto ex art. 1456 c.c. in caso di mancato ripristino; d) cooperare lealmente con il Garante in caso di indagine, ferma la riservatezza nei limiti di legge.

B.10.2 Kiwi è tenuto a notificare al Cliente eventuali ispezioni o richieste del Garante che riguardino il Servizio, entro 72 ore dalla ricezione, salvo diverso ordine dell'Autorità.

B.11 Rinvio e clausole finali

B.11.1 Per quanto non espressamente disciplinato si rinvia al Master ToS, alle Condizioni Particolari KiwiCall, al DPA, all'AUP, alla Privacy Policy e al Disclaimer AI.

B.11.2 Il presente documento è parte integrante del rapporto contrattuale e deve essere accettato dal Cliente prima dell'attivazione del Servizio KiwiCall.

Appendice — Testi TTS pronti all'uso (italiano standard, max 12 secondi)

TTS-1 — Marketing diretto / Lead generation

«Buongiorno, sono un assistente vocale automatico di [NOME CLIENTE]. La chiamata può essere registrata. Maggiori informazioni su [URL]. Per un operatore umano dica "operatore".»

TTS-2 — Customer care / Assistenza clienti

«Buongiorno, è in contatto con l'assistente automatico di [NOME CLIENTE]. La chiamata può essere registrata per qualità del servizio. L'informativa è su [URL]. Dica "operatore" per parlare con una persona.»

TTS-3 — Recupero crediti / Solleciti contrattuali

«Buongiorno, chiamo da un sistema automatico per conto di [NOME CLIENTE] in merito a una posizione amministrativa. La chiamata può essere registrata. Informativa su [URL]. Per un operatore dica "operatore".»

Nota d'uso: per il recupero crediti, nel rispetto del Provvedimento Garante 30 novembre 2005 e dei Codici di Condotta di settore, evitare riferimenti espliciti alla natura del debito udibili da terzi e verificare l'identità dell'interlocutore prima di fornire dettagli sulla posizione.

Versione: 1.0 Data emissione: 2026-05-08 Prossima revisione: 2027-05-08 o all'emanazione di nuovi provvedimenti del Garante o di Linee Guida AI Office che incidano sulla materia.